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Datenubertragungsstrecke mit Einrichtung zur Prufung der Da- 
tenintegritat 

10 Die Erfindung betrifft eine Datenubertragungsstrecke mit einer Ein- 
richtung zur Prufung der Datenintegritat von der Senderseite zur 
Empfangerseite der Datenubertragungsstrecke ubertragenen Daten, 
insbesondere in einem Kraftfahrzeug, und ein Verfahren zur Prufung 
der Datenintegritat gemaB dem Oberbegriff des Anspruchs 6. 

15 

Stand der Technik 

Datenubertragungsstrecken der gattungsgem§Sen Art sind bekapnt. 
Die§e dienen dazu festzustellen, ob von einem Sender versandte 

20 Daten einen Empfariger in unveranderter Form erreicht haben. Dazu 
sind beispielsweise PrQfsummenverfahren bekannt, bei denen auf 
der Senderseite zu den zu ubemriitteinden Daten eine PrOfsumme 
ermittelt und an die zu ubermlttelnden Daten angehangt wird. Auf der 
Empfangerseite wird dann erneut die Prufsumme der ubermittelten 

25 Daten bestimmt und mit der angehangten ubermittelten Prufsumme 
vergliclien. 1st diese Prufung positiv, das lieifit wird eine korrekte U- 
bertragung der Daten vom Sender zum Empfanger festgestellt, so ist 
die Integritat der Daten gewahrleistet, und die Daten konnen auf der 
Empfangerseite weiter verarbeitet werden. Fuhrt die Gberprufung zu 

30 einem negativen Ergebnis, das heiBt es wurde ein Veranderung der 
Daten auf der Sender-Empfanger-Strecke festgestellt, so wird eine 
Prozedur zur Behebung des Obermittlungsfehlers eingeleitet. 
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Insbesondere bei sicherheitsrelevanten und zeitkritischen Anwen- 
dungen, zum Beispiel bei der Ansteuemng der Bremsanlage eines 
Kraftfahrzeugs, muss die PrOfung der Datenintegiitat hohen Anforde- 
rungen gerecht werden. Eine Bremsanforderung kann heute neben 
5 der manuellen Anforderung durch den Benutzer des Kraftfahrzeugs 
auch von Sicherheitsfunktionen, wie einem Antiblockiersystem, el- 
nam elektronischen Stabilltatsprogramm oder einem Bremsassls- 
tenten, oder von Komfortfunktionen, wie einer adaptiven Geschwin- 
digkeitsregelung, ausgelost werden. Dabei werden die Signale teil- 

10 weise vom Fahrzeugkommunikationsbordnetz CAN (Controller Area 
Network) Dbertragen. wobei an das CAN auch weitere Steuergerate, 
zum Beispiel fQr das Armaturenbrett, den Motor oder ein Diagnose- 
system, angeschlossen sein konnen. Da ein unberechtigtes Auslo- 
sen einer Bremsanlage, insbesondere die DurchfQhrung einer auto- 

15 matisierten Vollbremsung, eine groBe Gefahr fur den Kraftfahrzeug- 
benutzer und andere Verkehrsteilnehmer darstellt, darf eine Bremse 
nur dann auslosen, wenn das Steuergerat des Bremssystems tat- 
sachlich eine Bremsanforderung erzeugt hat. Unberechtigte Brems- 
anforderungen konnen zum Beispiel durch Fehler in an das CAN an- 

20 geschlossenen Steuergeraten oder durch Storungen innerhalb des 
CAN hervorgerufen werden. Dabei kommt erschwerend hinzu, dass 
derartige Anwendungen zeitkritisch sind, das heiSt, dass die Zeit 
zwischen der Bremsanforderung seitens des Steuergerats des 
Bremssystems und der erforderlichen Bremsauslosung so gering ist, 

25 dass keine Zeit verbleibt, um die Gultigkeit der Bremsanforderung - 
sei es durch das Steuergerat, sei es durch die Bremse selber- zu 
verifizieren. Oft ist es dabei zeitlich lediglich mdglich ein einziges 
Signal zur Auslosung zu ubertragen. Es verbleibt keine Zeit ein feh- 
lerhaftes Signal durch ein weiteres Signal zu korrigieren oder ein 

30 weiteres Signal zur Oberprufung abzuwarten. Daher kommt einem 
einzigen Signal eine groRe Bedeutung mit einem gewissermaBen 
irreversiblen Charakter zu. 
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Vorteile der Erfindung 

Die erfindungsgemalie Datenubertragungsstrecke mit den im An- 
spruch 1 genannten Merkmalen bietet demgegenCiber den Vorteil, 
5 dass eine sichere Feststellung der Datenintegritat auch in zeitkriti- 
schen Anwendungen realisiert wird. Die Datenubertragungsstrecke 
ist dabei gekennzeichnet durch 

eine erste, senderseitige und eine zweite, empfangerseitige Da- 
tenveranderungseinrichtung, die jeweils eine gleiciie, die Veran- 
10 derung von Eingabedaten in Ausgabedaten bewirkende Gbertra- 
gungsfunktion haben und an die DatenQbertragungsstrecke an- 
geschlossen sind, 

einen empfSngerseitigen, die von der ersten Datenveranderungs- 
einrichtung Qber die Datenubertragungsstrecke und der zweiten 
15 Datenveranderungseinrichtung zugeleiteten Ausgabedaten ver- 
gleichenden, bei Gleichheit der Ausgabedaten eine Freigabeein- 
richtung aktivierenden Vergleicher, der mit der Datenubertra- 
gungsstrecke und der zweiten Datenveranderungseinrichtung 
verbunden ist, 

20 die Obermittlung von senderseitig erzeugten Eingabedaten an die 
erste Datenveranderungseinrichtung und von gleichen Eingabe- 
daten uber die DatenQbertragungsstrecke an die zweite Daten- 
veranderungseinrichtung. 

Fur eine derartige Datenubertragungsstrecke ergibt sich folgende 
25 Funktionsweise. Zunachst werden auf der Senderseite der Daten- 
Qbertragungsstrecke Eingabedaten erzeugt, mittels derer ein Ereig- 
nis auf der Empfangerseite bewirkt werden soil. Bei der Datenuber- 
tragungsstrecke kann es sich sowohl urn eine kabelgebundene (zum 
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Beispiel elektrisch oder optisch) als auch um eine kabellose (zum 
Beispiel Funk- oder InfrarotQbertragung) Verbindungsstrecke han- 
deln. Zunachst werden Eingabedaten an die erste Datenverande- 
rungseinrichtung und zusatzlich uber die DatenUbertragungsstrecke 
5 an die zweite Datenveranderungseinrichtung ubemnittelt. Dabei sind 
die Eingabedaten, die an die erste und an die zweite Datenverande- 
rungseinrichtung Qbemiittelt werden, gleich beziehungsweise iden- 
tisch. Dies ISsst sich zum Beispiel dadurch bewirken, dass zwei glei- 
che Einigabedatensignale erzeugt und an die erste beziehungsweise 
10 zweite Datenveranderungseinrichtung geleitet werden oder auch in- 
denn das Signal der Eingabedaten nach seiner Erzeugung in zwei 
gleiche, aber getrennte Eingabedatensignale aufgesplittet wird. 

Die Datenveranderungseinrichtungen sind zum Beispiel als Logik- 
schaltung, programmierbarer elektronischer Baustein oder Prozessor 

15 ausgefuhrt und besitzen die gleiche Obertragungsfunktion. Fur die 
gleiche Obertragungsfunktion ist es maSgeblich, dass wenn uberein- 
stimmende Eingabedaten an die Datenveranderungseinrichtungen 
geliefert werden, auch uberelnstimmende Ausgabedaten erzeugt 
werden. Nicht erforderlich ist es hingegen, dass die Ausgabedaten 

20 mittels identischer Einzelschrltte erzeugt werden. (So ist es zum Bei- 
spiel moglich, die Obertragungsfunktion „Verdopplung von x" sowohl 
als „Multiplikation von 2»x" als auch als ,,Addition x+x" zu realisie- 
ren".) Die von den Datenveranderungseinrichtungen erzeugten Aus- 
gabedaten werden dem empfangerseitigen Vergleicher zugeleitet, 

25 wobei die senderseitig erzeugten Ausgabedaten uber die Daten- 
Ubertragungsstrecke an die Empfangerseite ubermittelt werden. Der 
Vergleicher pruft die senderseitig und empfangerseitig erzeugten 
Ausgabedaten auf Gleichheit. Wird ein Unterschied festgestellt, wer- 
den die Ausgabedaten verworfen und nicht weiter verwendet. Be- 
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steht Gleichheit der Ausgabedaten, aktiviert der Vergleicher die Frei- 
gabeeinrichtung, die die senderseitigen oder empfangerseitigen 
Ausgabedaten zur Weiterverarbeitung freiglbt. (Aufgrund der Gleich- 
heit von senderseitigen oder empfangerseitigen Ausgabedaten fQhrt 
5 die weitere Verwendung von senderseitigen oder empfangerseitigen 
Ausgabedaten stets zum selben Ergebnis.) 

Die beschriebene DatenQbertragungsstrecke bringt eine groBe Si- 
cherheit bei der Feststellung der Datenintegritat, da zwei verschiede- 
ne, aber definiert zugehSrige DatehsStze Obertragen werden. Auf 

1 0 diese Weise lassen sich sowohl zufailige Fehler in der Datenintegritat 
feststellen als auch systematische Fehler, da durch die Wahl der 0- 
bertragungsfunktion, zum Beispiel einer eineindeutigen Funktion mit 
einer groSen Anzahl mOglicher Ein- und Ausgabedaten, verhindert 
werden kann, dass entiang der Obertragungsstrecke veranderte Ein- 

15 und Ausgabedaten am Vergleicher wieder zu ubereinstimmenden 
Ausgabedaten fuhren. Die beschriebene DatenQbertragungsstrecke 
weist zudem einen Geschwindigkeitsvorteil auf, da die DatenverSn- 
derungseinrichtungen unabh§ngig voneinander arbeiten und damit 
die Zeitfenster, in denen die DatenverSnderungseinrichtungen die 

20 Ausgabedaten erzeugen, Qberlappen oder sogar zeitgleich liegen 
konnen. 

Eine besonders vorteilhafte Ausgestaltung ergibt sich, wenn die Ein- 
gabedaten im Wesentlichen zeitgleich in Richtung der ersten und der 
zweiten Datenveranderungseinrichtung abgeschickt werden. Da die 
25 Durchlaufreihenfolgen „erste Datenveranderungseinrichtung, Daten- 
Qbertragungsstrecke, Eingang des Vergleichers" und „Datentibertra- 
gungsstrecke, zweite Datenveranderungseinrichtung, Eingang des 
Vergleichers" ungefShr die gleiche Zeit benotigen, bedeutet ein im 



wo 2005/032033 



PCT/DE2004/001796 



-6- 

Wesentlichen zeitgleiches Absenden der Eingabedaten auch ein in 
etwa zeitgleiches EIntreffen der Ausgabedaten am Vergleicher. Da- 
mit treten am Vergleicher keine Wartezeiten auf, in denen der 
Vergleicher an einem seiner Eingange auf Ausgabedaten warten 
5 . muss. Damit lasst sich die Zeit vom Erzeugen der Eingabedaten bis 
zur Feststellung der Datenintegritat minlmieren. 

In einer weiteren Ausgestaltuhg der Erfindung weist die Datenuber- 
tragungsstrecke mindestens einen Kommunikationskanal. Insbeson- 
dere einen CAN- (Controller Area Network-) Kommunikationskanal 
10 auf. Damit ist eine MOglichkeit aufgezeigt Herstellungskosten zu spa- 
ren, indem zur Realisierung der Datenubertragungsstrecke Telle ei- 
nes bereits vorhandenen Netzwerks genutzt werden. 

Vorteilhaftenveise werden die von der ersten Datenveranderungsein- 
richtung erzeugten Ausgabedaten und die der zweiten Datenveran- 
15 derungseinrichtung zugefQhrten Eingabedaten durch einen gemein- 
samen Kommunikationskanal der Datenubertragungsstrecke uber- 
tragen. 

Ein weiterer Vorteil ergibt sich, wenn die Freigabeeinrichtung die 
Betatigung eines Aktuators, insbesondere einer Bremse, freigibt 
20 Damit wird sichergestellt, dass ein Aktuator nicht aufgrund von feh- 
lerhaft ubermittelten oder nicht fur den Aktuator bestimmten Daten 
ausgelost wird. So kann eine gefShrliche Fehlauslosung der Bremse 
eines Kraftfahrzeugs, insbesondere die falschliche Auslosung einer 
Vollbremsung, vermieden werden. 

25 Ferner betrifft die Erfindung ein Verfahren zur Prufung der Datenin- 
tegritat von von der Senderseite zur Empfangerseite einer Daten- 
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ubertragungsstrecke ubertragenen Daten, insbesondere in einem 
Kraftfahrzeug, wobei 

- EIngabedaten von einer ersten, eine Obertragungsfunktion auf- 
weisenden Datenveranderungseinrichtung in erste Ausgabe- 

5 daten verandert und uber die Datenubertragungsstrecke einem 

Vergleicher zugefuhrt Werden, 

- gleiche Eingabedaten uber die Datenubertragungsstrecke einer 
zweiten, dieselbe Obertragungsfunktion autwelsenden Daten- 
veranderungseinrichtung zugeleitet, in zweite Ausgabedaten 

10 verandert und dem Vergleicher zugefQhrt werden und 

- der Vergleicher bei Gleichheit von ersten und zweiten Ausga- 
bedaten ein Aktivierungssignal ausgibt. 

Zeichnung 

Die Erfindung wird nachfolgend in einem Ausfuhrungsbeispiel an- 
15 hand der zugehorigen Zeichnung naher erlautert. Dabei zeigt die 

Figur die prinzipielle Funktionsweise einer erfindungsgema- 

Ben Datenubertragungsstrecke mit einer Einrichtung 
zur Prufung der Datenintegritat. 

Beschreibung des AusfOhrungsbeispieis 

20 Die Figur zeigt eine DatenQbertragungsstrecke 1 aufweisend einen 
Bereich auf der Senderseite 2, eine DatenQbertragungsstrecke 3 und 
einen Bereich auf der Empfangerseite 4, Auf der Senderseite 2 be- 
finden eine Steuervorrichtung 12 sowie eine erste Datenverande- 
rungseinrichtung 5. Die Empfangerseite 4 weist eine zweite Daten- 
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veranderungseinrichtung 6, einen Vergleicher 7, eine Freigabeein- 
richtung 8 und einen Aktuator 9 auf, der hier als Brennse 10 eines 
Kraftfahrzeugs ausgefuhrt ist. Die Datenubertragungsstrecke ist hier 
als Kommunikationskanal 1 1 eines CAN ausgefuhrt, auf dem Daten 
5 seriell ubertragen werden. Dabei wird durch eine Empfangerkodie- 
rung Innerhalb der Daten sichergestellt, dass auch bei der Nutzung 
eines gemeinsamen Kommunikationskanals 11 beziehungsweise 
Kommunikationsnetzwerks, die Daten stets nur vom adressierten 
ZielempfSnger angenommen werden. Die erste und die zweite Da- 

10 tenveranderungseinrichtung 5. 6 weisen dieselbe Obertragungsfunk- 
tion auf, mit der Eingabedaten in Ausgabedaten Dberfuhrt werden. 
Das heiSt. werden die Datenveranderungseinrichtung 5, 6 mit uber- 
einstimmenden Eingabedaten beschickt, so generieren sie uberein- 
stinnmende Ausgabedaten. Fur die Datenubertragungsstrecke 1 er- 

15 gibt sich folgende Funktionsweise: 

Die Steuervorrichtung 12 generiert aus Ursprungseingabedaten E, 
die von nicht naher dargestellten Sensoren stammen, anhand von 
Rechen- oder Programmvorschriften Eingangsdaten E1, E2. Die 
Eingabedaten E1 werden von der ersten Datenveranderungsein- 

20 richtung 5 in Ausgabedaten A1 umgewandelt und uber den Einspei- 
sepunkt 13, den Kommunikationskanal 11 und den Auskoppelpunkt 
14 einem ersten Eingang des Vergleichers 7 zugefuhrt. Die Eingabe- 
daten E2 werden uber den Einspeisepunkt 13. den Kommunikations- 
kanal 11 und den Auskoppelpunkt 14 der zweiten Datenverande- 

25 rungseinrichtung 6 zugefuhrt, die Ausgabedaten A2 generiert und 
dem zweiten Eingang des Vergleichers 7 zufOhrt. Der Vergleicher 7 
pruft nun die Ausgabedaten A1, A2 auf Gleichheit und leitet das Er- 
gebnis der Prufung uber die Leitung R an die Freigabeeinrichtung 8. 
Nur fur den Fall der Gleichheit der Ausgabedaten A1. A2 wird nun 
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die Freigabeeinrichtung 8 aktiviert und leitet die am Knoten 15 abge- 
zweigten Ausgabedaten A1 an die Bremse 10 weiter. Durch die ge- 
strichelte Linie vom Knoten 16 zur Freigabeeinrichtung 8 wird ange- 
zeigt, dass ebenso die Ausgabedaten A2 zur Weiterleitung verwen- 
5 det werden konnen. Ebenso konnen bei Bedarf auch beide Ausga- 
bedaten A1, A2 der Freigabeeinrichtung 8 zugefQhrt werden, wobei 
dann eine Logik innerhalb der Freigabeeinrichtung 8 bestimmt, wel- 
che Daten an die Bremse 1 0 weitergeleitet werden. 

Zusammenfassend l§sst sich festhalten, dass eine Signalweiteriei- 

10 tung an die Bremse 10 nur dann stattfindet, wenn die von der ersten 
Datenveranderungseinrichtung 5 erzeugten, und Qber den Kommuni- 
kationskanal 1 1 an den Vergleicher 7 geleiteten Ausgabedaten A1 
mit den Ausgabedaten A2 Qbereinstlmmen, die von der zweiten Da- 
tenveranderungseinrichtung 6 anhand der vori dem Kommunikati- 

15 onskanal 11 Qbertragenen Eingabedaten E2 erzeugt wurden. Findet 
entlang des Kommunikationskanals 1 1 eine Veranderung der Einga- 
bedaten E2 statt, so generiert die zweite Datenverainderungseinrich- 
tung 6 Ausgabedaten A2, die nicht mit den Ausgabedaten A1 Qber- 
einstimmen, und daher wird die Freigabeeinrichtung 8 nicht aktiviert. 

20 Ein gleiches Ergebnis ruft eine Anderung der Ausgabedaten A1 ent- 
lang des Kommunikationskanals 1 1 vor, weil auch dann die Ausga- 
bedaten A2 mit den veranderten Ausgabedaten A1 nicht Oberein- 
stimmen. Auch eine VerSnderung der Eingabedaten E2 und der 
Ausgabedaten A1 wird erfasst, wenn die Obertragungsfunktlon der 

25 ersten und der zweiten Datenveranderungseinrichtung 5, 6 eine gro- 
Be Anzahl mSglicher Ein- und Ausgabedaten hat. Dam it wird eine 
hohe Sicherheit erreicht, dass eine Betatigung der Bremse 10 wirk- 
lich nur dann stattfindet, wenn dies anhand der Ursprungseingabe- 
daten E auch tatsachlich bewirkt werden sollte. 



wo 2005/032033 



PCT/DE2004/001796 



'10- 



Neben der hohen Sicherheit, die die Datenubertragungsstrecke bie- 
tet, wird fur die Prufung der Datenintegritat zudem nur ein sehr ge- 
ringer Zeitaufwand benotigt, da die erste und die zweite Datenveran- 
derungseinrichtung 5, 6 unabhangig voneinander arbeiten und Ein- 
5 gabedaten E1, E2 abarbeiten konnen, sobaid diese Eingabedaten 
El, E2 am jeweiligen Eingang der ersten beziehungsweise der 
zweiten Datenveranderungseinrichtung 5, 6 aniiegen. Dadurch ste- 
hen auch die Ausgabedaten A1, A2 dem Vergleicher 7 schnellstnnSg- 
lich zur VerfQgung, so dass umgehend die Prufung der Datenintegri- 

10 tat stattfinden kann. Zudem ist es moglich die Frelgabeeinrichtung 8 
zu deaktivieren, zum Beispiel um einen alisgelosten Bremsvorgang 
abzubrechen, indem gezielt eine Ungleichheit an den Eingangen des 
Vergleichers 7 erzeugt wird. Dafur ist es ausreichend eine der Ein- 
gabedaten E1 , E2 zu andern oder bei einer der Datenveranderungs- 

15 einrichtungen 5,6 eine Anderung der Ausgabedaten A1, A2 zu bewir- 
ken. 
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Patentanspruche 

5 

1. Datenubertragungsstrecke mit einer EInrichtung zur Prufung der 
Datenintegritat von von der Senderseite zur Empfangerseite der Da- 
tenubertragungsstrecke Qbertragenen Daten, insbesondere in einem 
Kraftfahrzeug, gekennzeichnet durch 

10 - eine erste^ senderseitige und eine zweite, empfangerseitige Da- 
tenverSnderungseinrichtung (5,6). die jeweils eine gleiche, die 
Veranderung. von Eingabedaten (E1,E2) in Ausgabedaten 
(A1,A2) bewirkende Obertragungsfunktion haben und an die Da- 
tenubertragungsstrecke (3) angeschlossen sind, 

15 - einen empfangerseitigen, die von der ersten Datenveranderungs- 
einrichtung (5) uber die Datenubertragungsstrecke (3) und der 
zweiten Datenveranderungseinrichtung (6) zugeleiteten Ausga- 
bedaten (A1,A2) vergleichenden, bei Gleichheit der Ausgabeda- 
ten (A1,A2) eine Freigabeeinrichtung (8) aktivierenden Verglei- 

20 Cher (7), der mit der Datenubertragungsstrecke (3) und der zwei- 
ten Datenveranderungseinrichtung (6) verbunden ist, 

- die Obermittlung von senderseitig erzeugten Eingabedaten (E1) 
an die erste Datenveranderungseinrichtung (5) und von gleichen 
Eingabedaten (E2) uber die DatenQbertragungsstrecke (3) an die 
25 zweite Datenveranderungseinrichtung (6), 

2. Datenubertragungsstrecke nach Anspruch 1, dadurch gekenn- 
zeichnet, dass die Eingabedaten Im Wesentlichen zeitgleich in 
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Richtung der ersten und der zweiten Datenveranderungseinrichtung 
(5,6) abgeschickt werden. 

3. Datenubertragungsstrecke nach einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass die Datenubertragungs- 

5 strecke (3) mindestens einen Kommunikationskanal (11), insbeson- 
dere einen CAN- (Controller Area Network-) Kommunikationskanal 
aufweist. 

4. Datenubertragungsstrecke nach Anspruch 3, dadurch gekenn- 
zeichnet, dass die von der ersten Datenveranderungseinrichtung (5) 

10 erzeugten Ausgabedaten (A1) und die der zweiten Datenverande- 
rungseinrichtung (6) zugefQhrten EIngabedaten (E2) durch einen 
gemeinsamen Kommunikationskanal (11) der Datenubertragungs- 
strecke (3) Qbertragen werden. 

5. Datenubertragungsstrecke nach einem der vorhergehenden An- 
15 spruche, dadurch gekennzeichnet, dass die Freigabeeinrichtung 

(8) die Betatigung eines Aktuators (9), insbesondere einer Bremse 
(10),freigibt. 

6. Verfahren zur PrOfung der Datenintegritat von von der Sender- 
seite zur Empfangerseite einer Datenubertragungsstrecke ubertra- 

20 genen Daten, insbesondere in einem Kraftfahrzeug, dadurch ge- 
kennzeichnet, 

" dass Eingabedaten (E1) von einer ersten, eine Obertragungs- 
funktion aufweisenden Datenveranderungseinrichtung (5) in 
erste Ausgabedaten (A1) verandert und Qber die Datenubertra- 
25 gungsstrecke (3) einem Vergleicher (7) zugefuhrt werden, 
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- dass gleiche Eingabedaten (E2) uber die Datenubertragungs- 
strecke (3) einer zweiten, dieselbe Ubertragungsfunktion auf- 
weisenden Datenveranderungseinrichtung (6) zugeleitet, in 
zweite Ausgabedaten (A2) verandert und dem Vergleicher (7) 

5 zugefQhrt warden und 

- dass der Vergleicher (7) bei Gleichheit von ersten und zweiten 
Ausgabedaten (A1 ,A2) ein Aktivierungssignal ausgibt. 
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